CVE-2026-48022

ŚrednieCVSS 6.5

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Klient HTTP @hapi/wreck przed wersją 18.1.2 zawiera podatność polegającą na nieprawidłowym porównaniu pochodzenia podczas przekierowań między domenami. Nagłówki uwierzytelniające (Authorization, Cookie, Proxy-Authorization) są przesyłane do różnych portów lub przy zmianie protokołu (HTTPS->HTTP), co pozwala atakującym na przechwycenie tokenów i sesji.

Ocena ryzyka

Ryzyko kradzieży tokenów uwierzytelniających, ciasteczek sesyjnych i proxy, co może prowadzić do podszycia się pod ofiarę i nieautoryzowanego dostępu do usług.

Rekomendacja

Zaleca się aktualizację @hapi/wreck do wersji 18.1.2 lub nowszej oraz stosowanie bezpiecznych konfiguracji przekierowań.

Inne podatności w @hapi/wreck

CVE-2026-44979Średnie
@hapi/wreck przed wersją 18.1.1 podczas przekierowania 3xx do innego hosta usuwa tylko nagłówki Authorization i Cookie, ale pozostawia nagłówek Proxy-Authorization. Może to ujawnić poświadczenia proxy do zewnętrznego hosta, jeśli przekierowania są włączone.

Oryginalny opis (angielski, źródło NVD)

@hapi/wreck is an HTTP client utility. Prior to 18.1.2, Wreck strips credential headers including Authorization, Cookie, and Proxy-Authorization before following a cross-origin redirect, but the origin check compares hostnames only and ignores scheme and port, so credentials are forwarded intact across same-host port changes and HTTPS-to-HTTP downgrades, allowing a co-tenant on an adjacent port or a network-position attacker capable of forging a redirect to capture bearer tokens, session cookies, and proxy credentials and impersonate the victim against the upstream service. This issue is fixed in version 18.1.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS